В дайджесте за 22–26 октября – два новых раскрытия. Arctic Wolf обобщила более 400 эпизодов атак через внешние чаты Microsoft Teams, а Sublime Security обнаружила в реальной BEC-рассылке невидимые команды для почтовых ИИ-агентов.


Ложная ИТ-поддержка в Teams стала входом в сотни атак

Arctic Wolf Labs 26 октября опубликовала разбор более 400 эпизодов, в которых злоумышленники использовали внешние чаты Microsoft Teams для подмены ИТ-поддержки или доставки вредоносных файлов. Период наблюдения охватывает несколько месяцев, но точные даты всех атак, страны, отрасли и названия пострадавших организаций не раскрыты [1].

Атакующие создавали или приобретали тенанты Microsoft 365 и называли учётные записи «IT Support (Internal)» либо похожим образом. Иногда они добавляли имя сотрудника, название компании-жертвы или служебные эмодзи, чтобы ослабить настороженность из-за метки External. В 30–40% изученных случаев использовались стандартные домены onmicrosoft.com. Среди платных доменов около половины приходилось на зону .top, около 40% – на .com, немногим более 5% – на многоуровневые зоны.

От почтовой бомбардировки до удалённого управления

Во многих случаях перед сообщением от «поддержки» почтовый ящик сотрудника заполняли сотнями подтверждений подписок. Затем злоумышленник предлагал устранить созданную им же проблему и убеждал жертву запустить Quick Assist или другое средство удалённого администрирования. Arctic Wolf наблюдала AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport и LogMeIn, но чаще всего применялся встроенный в Windows Quick Assist.

Получив управление, оператор мог сам открыть вредоносный адрес. Такой переход не проходил через проверку ссылок в сообщениях Teams. Для закрепления злоумышленники иногда устанавливали второе RMM-средство. В успешных эпизодах от первого контакта до выполнения полезной нагрузки проходило менее 15 минут.

В одном из подробно описанных случаев ложный сотрудник поддержки заставил пользователя выполнить команду PowerShell и запустить файл. MSI-пакет с Azure Blob Storage распаковал обфусцированный загрузчик, Python-интерпретатор и имплант ss.py. Тот перечислил компьютеры и пользователей Active Directory через LDAP и отправил сведения на управляющую инфраструктуру.

The Hacker News независимо пересказал отчёт и указал, что в связанных атаках удалённый доступ использовали для разведки, установки дополнительных бэкдоров, бокового перемещения, кражи данных и запуска программ-вымогателей [2]. При этом Arctic Wolf не сообщила, сколько из более чем 400 эпизодов завершились полной компрометацией, и не связала всю активность с одной группой.

Что добавил новый отчёт

Сама схема с подменой ИТ-поддержки в Teams известна не впервые. Microsoft 2 сентября описала цепочку, в которой внешняя учётная запись убеждала сотрудника передать управление через Quick Assist, после чего MSI устанавливал переносимую среду Node.js и имплант для разведки и бокового перемещения [3]. Новое раскрытие Arctic Wolf добавляет агрегированный масштаб, распределение доменной инфраструктуры, скорость перехода к исполнению и отдельную цепочку с Python-имплантом.

Организациям рекомендуют заменить открытый внешний доступ списком доверенных доменов, запретить диалоги с неуправляемыми и пробными тенантами, ограничить Quick Assist и неразрешённые RMM-программы. Событие создания внешнего чата полезно сопоставлять с почтовой бомбардировкой, звонком, запуском средств удалённого доступа и сигналами из системы управления учётными записями.

Поддельный счёт атаковал человека и почтового ИИ-агента

Sublime Security 26 октября сообщила о BEC-кампании, обнаруженной 22 октября. Письма были адресованы финансовым контролёрам североамериканских организаций, но названия компаний, страны и число получателей не раскрыты. Видимая часть имитировала цепочку ответов поставщика и руководителя компании-жертвы, содержала PDF-счёт примерно на 88 000 долларов и обещание скидки 10%, которая якобы скоро истечёт [4].

В то же письмо злоумышленник встроил команду для ИИ-агента, читающего почту. Инструкция находилась в HTML-элементе размером в один пиксель с нулевой высотой и белым текстом. Её символы были дополнительно закодированы диапазоном Unicode Tag U+E0000–U+E007F: они не отображаются человеку, но однозначно преобразуются в обычный текст.

После декодирования команда требовала переслать письмо вместе с PDF на адрес злоумышленника. Для каждой цели использовался адрес вида ap.confirm+имя_контролёра@домен_атакующего. Исследователи полагают, что оператор заранее находил сотрудника, отвечавшего за расчёты, и рассчитывал на поддержку адресов с меткой после знака «+».

У атаки было два уровня. Человека подталкивали оплатить срочный счёт от имени руководителя, а почтовому агенту незаметно приказывали передать письмо и вложение. Ранее невидимые Unicode-символы уже применялись для обхода анализа текста. В этой кампании тот же принцип использовали для команды, которая могла вызвать действие агента.

Что подтверждено, а что осталось неизвестным

Sublime протестировала письмо на нескольких моделях и получила разные реакции: одни не заметили скрытый текст, другие показали его пользователю, третьи распознали попытку внедрения инструкции и предложили отметить письмо как фишинговое. Публикация не подтверждает, что рабочий ИИ-агент автоматически переслал документ, внёс счёт в бухгалтерскую систему или инициировал платёж. Масштаб рассылки и атрибуция также неизвестны.

Для защиты почтовым системам нужно нормализовать Unicode Tag-символы и скрытый HTML до передачи сообщения модели. Опубликованное правило обнаружения отмечает диапазон U+E0000–U+E007F в теме, теле и календарных вложениях с исключением легитимных флаговых последовательностей [5]. Агентам не следует разрешать пересылку вложений и финансовые действия без явного подтверждения человека. Отдельной проверки требуют новые отправители, поддельные цепочки переписки и срочные счета.

Источники

[1] Arctic Wolf, 26 октября 2026. https://arcticwolf.com/resources/blog/threat-actors-abuse-microsoft-teams-external-chat-for-initial-access/

[2] The Hacker News, 26 октября 2026. https://thehackernews.com/2026/10/attackers-use-microsoft-teams-it.html

[3] Microsoft Security Blog, 2 сентября 2026. https://www.microsoft.com/en-us/security/blog/2026/09/02/impersonating-it-support-threat-actors-turn-remote-session-into-enterprise-wide-access/

[4] Sublime Security, 26 октября 2026. https://sublime.security/blog/invoice-fraud-campaign-adds-prompt-injection-aimed-at-email-ai-agents/

[5] Detection.FYI, 4 октября 2026. https://detection.fyi/sublime-security/sublime-rules/evasion_unicode_tag_chars_not_attachment/